利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービスに関するＱ＆Ａ（電子署名法第３条関係）
令和２年９月４日
総 務 省
法 務 省
経済産業省
一部改定 令和６年１月９日
デジタル庁
法 務 省
【作成の経緯】
利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービス1については、令和２年７月
１７日、電子署名及び認証業務に関する法律（平成１２年法律第１０２号、以下「電子署名法」という。
）第２条に関する「利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービスに関するＱ＆Ａ」（以下「第２条関係Ｑ＆Ａ」という。）を公表したものであるところ、今般、電子署名法第３条に関しても、本Ｑ＆Ａを作成し公表することとした。
電子契約サービスにおいて利用者とサービス提供事業者の間で行われる本人確認（身元確認、当人認証）等のレベルやサービ
1

本 Q&A における「利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービス」には、例えば、電子契約において電子署名を行う際にサービス提供事業者が自動的・機械的に利用者名義の一時的な電子証明書を発行し、それに紐付く署名鍵により暗号化等を行う電子契約サービスを含むものとする。

1

ス提供事業者内部で行われるプロセスのセキュリティレベルは様々であり、利用者はそれらの差異を理解した上で利用することが重要であるところ、本Ｑ＆Ａには当該観点からのＱ＆Ａも含めている。
さらに、電子認証に関しては、近年、技術的な標準の検討が進んでおり、また、それぞれの国で制度化された電子認証の相互承認なども検討の視野に入るようになっていることなどを踏まえ、商取引の安定性や制度における要求事項に係る国際的整合性等を確保するために、国際標準との整合性や他の国の制度との調和なども踏まえた検討を行う必要がある。本Ｑ＆Ａの作成に当たっても、国際標準との整合性等の観点も踏まえ、検討を行った。
問１ 電子署名法第３条における「本人による電子署名（これを行うために必要な符号及び物件を適正に管理することにより、本人だけが行うことができることとなるものに限る。）」とは、どのようなものか。
電子署名法第３条の規定は、電子文書（デジタル情報）について、本人すなわち当該電子文書の作成名義人による電子署名（これを行うために必要な符号及び物件を適正に管理することにより、本人だけが行うことができることとなるものに限る。）が行われていると認められる場合に、当該作成名義人が当該電子文書を作成したことが推定されることを定めるものである。
この電子署名法第３条の規定が適用されるためには、次の要件が満たされる必要がある。
① 電子文書に電子署名法第３条に規定する電子署名が付されていること。
2

②

上記電子署名が本人（電子文書の作成名義人）の意思に基づき行われたものであること。

まず、電子署名法第３条に規定する電子署名に該当するためには、同法第２条に規定する電子署名に該当するものであることに加え、「これ（その電子署名）を行うために必要な符号及び物件を適正に管理することにより、本人だけが行うことができることとなるもの」に該当するものでなければならない（上記①）。
このように電子署名法第３条に規定する電子署名について同法第２条に規定する電子署名よりもさらにその要件を加重しているのは、同法第３条が電子文書の成立の真正を推定するという効果を生じさせるものだからである。すなわち、このような効果を生じさせるためには、その前提として、暗号化等の措置を行うための符号について、他人が容易に同一のものを作成することができないと認められることが必要であり（以下では、この要件のことを「固有性の要件」などという。）、そのためには、当該電子署名について相応の技術的水準が要求されることになるものと考えられる。したがって、電子署名のうち、例えば、十分な暗号強度を有し他人が容易に同一の鍵を作成できないものである場合には、同条の推定規定が適用されるために必要な要件である①を満たすこととなる。
また、電子署名法第３条において、電子署名が「本人による」ものであることを要件としているのは、電子署名が本人すなわち電子文書の作成名義人の意思に基づき行われたものであることを要求する趣旨である（上記②）。

3

問２ サービス提供事業者が利用者の指示を受けてサービス提供事業者自身の署名鍵による暗号化等を行う電子契約サービ
スは、電子署名法第３条との関係では、どのように位置付けられるのか。
利用者の指示に基づき、利用者が作成した電子文書について、サービス提供事業者自身の署名鍵による暗号化等を行う
電子契約サービスについては、第２条関係Ｑ＆Ａにより電子署名法第２条に関する電子署名法上の位置付けを示したところであるが、更に同法第３条に関する位置付けが問題となる。
上記サービスについて、電子署名法第３条が適用されるためには、問１に記載したとおり、同サービスが同条に規定する電子署名に該当すること及び当該電子署名が本人すなわち電子文書の作成名義人の意思に基づき行われたことが必要となる。
このうち、上記サービスが電子署名法第３条に規定する電子署名に該当するためには、その前提として、同法第２条第１項に規定する電子署名に該当する必要がある。この点については、第２条関係Ｑ＆Ａにおいて、既に一定の考え方を示した
とおり、同サービスの提供について、技術的・機能的に見て、サービス提供事業者の意思が介在する余地がなく、利用者の意思のみに基づいて機械的に暗号化されたものであることが担保されているものであり、かつサービス提供事業者が電子文書に行った措置について付随情報を含めて全体を１つの措置と捉え直すことによって、当該措置が利用者の意思に基づいていることが明らかになる場合には、同法第２条第１項に規定する電子署名に該当すると考えられる。
4

その上で、上記サービスが電子署名法第３条に規定する電子署名に該当するには、更に、当該サービスが本人でなければ行うことができないものでなければならないこととされている。そして、この要件を満たすためには、問１のとおり、同条に規定する電子署名の要件が加重されている趣旨に照らし、当該サービスが十分な水準の固有性を満たしていること（固有性の要件）が必要であると考えられる。
より具体的には、上記サービスが十分な水準の固有性を満たしていると認められるためには、①利用者とサービス提供事業者の間で行われるプロセス及び②①における利用者の行為を受けてサービス提供事業者内部で行われるプロセスのいずれにおいても十分な水準の固有性が満たされている必要があり、これはシステムやサービス全体のセキュリティを評価して判断されることになると考えられる。なお、①・②のいずれか一方のみが十分な水準の固有性を満たしていても全体として不十分な場合には、上記サービスが十分な水準の固有性を有しているとは認められなくなることに留意する必要がある。
①のプロセスについては、例えば以下の方法により２要素認証を行っている場合は電子文書が利用者の作成に係るものであることを示すのに十分な水準の固有性を満たすと評価され得ると考えられる。なお、十分な水準の固有性を満たすために２要素認証が必須ということではなく、他の方法によることを妨げるものではない。
あらかじめ登録されたメールアドレス及びログインパスワードの入力並びにＳＭＳ送信又は手元にあるトークンの利用等当該メールア
5

ドレスの利用以外の手段により取得したワンタイム・パスワードの入力
あらかじめ登録されたメールアドレスに配信された時限アクセス
URL へのアクセス及び署名用のトークンアプリをインストールしたスマートフォンによる認証
利用者専用の電子契約システムログイン ID・パスワードを利用したアクセス及び利用者に対し配布されたトークンデバイスによる認証②のプロセスについては、サービス提供事業者内部で行われる措置について、例えば以下の方法により十分な暗号の強度、適切な鍵の管理、利用者毎の個別性を担保する適切な仕組み（例えばシステム処理が当該利用者に紐付いて行われること）が備わっていれば、電子文書が利用者の作成に係るものであることを示すために十分な水準の固有性を満たしていると評価され得ると考えられる。
アクセスや操作ログ等が正しく適切に記録され、かつ、改ざんや削除ができない仕様とされていること
運用担当者による不正ができないシステム設計、運用設計がされていること
正しく適切に運用されていることが監査等で確認するとされている
こと
必要に応じてログや監査等の記録やシステム仕様書等が提出できるよう十分な期間保存するとされていること

以上の次第で、あるサービスが電子署名法第３条に規定する電子署名に該当するか否かについては、個別の事案における具体的な事情を踏まえた裁判所の判断に委ねられるべき事
柄ではあるものの、一般論として、上記サービスは、①及び②のプロセスのいずれについても十分な水準の固有性が満たさ6れていると認められる場合には、電子署名法第３条の電子署名に該当するものと認められることとなるものと考えられる。
そして、同条に規定する電子署名が本人すなわち電子文書の作成名義人の意思に基づき行われたと認められる場合には、電子署名法第３条の規定により、当該電子文書は真正に成立したものと推定されることとなると考えられる。

(参考)あるサービスが、①及び②のプロセスのいずれについても十分な水準の固有性を満たしているかは、サービス毎に評価が必要となるが、評価するための参考となる文書について以下に例示する。
①のプロセスにおいて、固有性の水準の参考となる文書の例。
NIST、「NIST Special Publication 800-63-3 Digital IdentityGuidelines」、 2017 年 6 月
経済産業省、「オンラインサービスにおける身元確認手法の整理に関する検討報告書」、 2020 年 4 月
各府省情報化統括責任者（ＣＩＯ）連絡会議決定、「行政手続におけるオンラインによる本人確認の手法に関するガイドライン」、 2019年2月
一般社団法人 OpenID「民間事業者向けデジタル本人確認ガイドライン第 1.0 版」2023 年 3 月②のプロセスにおいて、固有性の水準の参考となる文書の例。
NIST 、「 NIST

Special Publication

800-130A

Framework for

Designing Cryptographic Key Management Systems」、 2013 年 8 月
CRYPTREC、「暗号鍵管理システム設計指針（基本編）」、2020 年 7 月
日本トラストテクノロジー協議会（JT2A）リモート署名タスクフォー
ス、「リモート署名ガイドライン」、 2020 年 4 月
総務省・法務省・経済産業省告示、「電子署名及び認証業務に関する7

法律に基づく特定認証業務の認定に係る指針」

問３ サービス提供事業者が利用者の指示を受けてサービス提供事業者自身の署名鍵による暗号化等を行う電子契約サービ
スが電子署名法第３条の電子署名に該当する場合に、「これを行うために必要な符号及び物件を適正に管理すること」とは、具体的に何を指すことになるのか。
「これを行うために必要な符号及び物件を適正に管理すること」の具体的内容については、個別のサービス内容により異なり得るが、例えば、サービス提供事業者の署名鍵及び利用者のパスワード（符号）並びにサーバー及び利用者の手元にある２要素認証用のスマートフォン又はトークン（物件）等を適正に管理することが該当し得ると考えられる。
問４ 電子契約サービスを利用した電子署名がされた電子文書について、実際の裁判において電子署名法第３条の推定効が認められるためにはサービス提供事業者による身元確認が必要なのか。
実際の裁判において、電子契約サービスを利用した電子署名がされた電子文書について、その成立の真正が争われた場
合には、電子署名法第３条の推定効が認められるかが論点となる。この場合に、同条の推定効の主張が認められるためには、当該電子署名が本人（電子文書の作成名義人）の意思に基づき行われたものであることが必要であるところ、挙証者が、電子文書の作成名義人本人による電子署名が行われていること、すなわち電子契約サービスの利用者と電子文書の作成名義人8が同一であることを立証する必要がある。
サービス提供事業者が電子契約サービスの利用者と電子文書の作成名義人の同一性を確認する（いわゆる利用者の身元確認を行う）ことは、電子署名法第３条の推定効の要件として必ず求められているものではないものの、電子契約サービスの利用者と電子文書の作成名義人が同一であることの有効な立証手段の一つとなり得る。なお、取引の当事者同士で身元確認を行なっている場合はもとより、サービス提供事業者が利用者の身元確認を代行する作業を附帯サービスとして提供している場合も同様に、電子契約サービスの利用者と電子文書の作成名義人が同一であることの有効な立証手段の一つとなり得る。
問５

電子契約サービスを選択する際の留意点は何か。

実際の裁判において、電子文書の作成名義人の意思に基づいて電子署名が行われたことを立証する際の、作成名義人と利用者の同一性の証明の水準や、その証明のために電子契約サービスにおける身元確認の水準及び方法やなりすまし等の防御レベルがどの程度要求されるかについては、裁判所の判断に委ねられるべき事柄である。
この点に関し、電子契約サービスにおける利用者の身元確認の有無、水準及び方法やなりすまし等の防御レベルは様々であるところ、現状では必要な基準についての裁判例の蓄積が十分でなく、身元確認の水準や防御レベルが低い場合には、実際の裁判において真正な成立を推定するためには不十分であると判断される可能性がある。したがって、各サービスの9利用に当たっては、当該各サービスを利用して締結する契約等の重要性の程度や金額といった性質に鑑みて、裁判において真正な成立の推定が得られない場合に利用者に生ずる損害等を考慮した上で、適切なサービスを慎重に選択することが適当と考えられる。
問６ 電子文書の成立の真正は電子署名法第３条の推定効のみによって判断されるのか。
電子文書の成立の真正は、電子署名法第３条の推定効のみによって判断されるものではなく、口頭弁論の全趣旨及び証拠調べの結果をしん酌して、自由な心証により裁判所に判断される（民事訴訟法第２４７条）ものである。したがって、身元確認が取引開始時点において高い水準で行われていなかった場合であっても、契約当事者間における当該電子文書の成立過程を裏付ける証拠等が提出できれば、それらも電子文書の成立の真正の有効な立証手段となり得る。
文書の成立の真正を証明する手段を確保する方法について
は、令和２年６月１９日、内閣府・法務省・経済産業省「押印についての Q&A」でもその例を公表している。

10

改定履歴
公表日

改定箇所

主な改定内容（概要）

令和２年９月４日－－

令和６年１月９日

問２

・ ①・②のいずれか一方のみが十分な水準の固有性を満たしていても全体として不十分な場合には、サービスが十分な水準の固有性を有しているとは認められなくなることに留意する必要があることを追記。
・ ①のプロセスにおいて十分な水準の固有性を満たすものとして、２要素認証の例を追記。
・ ②のプロセスにおいて十分な水準の固有性を満たすものとして、サービス提供事業者内部で行われる措置について、暗号の強度、利用者毎の個別性を担保する仕組みが適切に備わっている例を追記。
・ 参考資料として、「一般社団法人 OpenID「民間事業者向けデジタル本人確認ガイドライン第1.0 版」2023 年 3 月」を追記。

問４

新規

問５

・ 問４の新規作成に伴い、従前の問４を問５に修正。
・ 実際の裁判において、電子文書の作成名義人の意思に基づいて電子署名が行われたことを立証する際の、作成名義人と利用者の同一性の証明の水準や、その証明のために電子契約サービスにおける身元確認の水準及び方法やなりすまし等の防御レベルがどの程度要求されるかについては、裁判所の判断に委ねられるべき事柄である、と修正。
・ 電子契約サービスにおける利用者の身元確認の有無、水準及び方法やなりすまし等の防御レベルは様々であるところ、現状では必要な基準についての裁判例の蓄積が十分でなく、身元確認の水準や防御レベルが低い場合には、実際の裁判において真正な成立を推定するためには不十分であると判断される可能性があることを追記。
・ 各サービスの利用に当たっては、当該各サービスを利用して締結する契約等の重要性の程度や金額といった性質に鑑みて、裁判において真正な成立の推定が得られない場合に利用者に生ずる損害等を考慮した上で、適切なサービスを慎重に選択することが適当と考えられる、と修正。

問６

新規

その他

・ 本Ｑ＆Ａの所管省庁をデジタル庁、法務省に修正。

11